Аккаунт умершего сотрудника помог внедрить в сеть вымогателя Nefilim

Аккаунт умершего сотрудника помог внедрить в сеть вымогателя Nefilim

Аккаунт умершего сотрудника помог внедрить в сеть вымогателя Nefilim

Злоумышленники проникли в корпоративную сеть через эксплойт и хозяйничали там целый месяц на правах администратора домена Active Directory. Доступ к нужному аккаунту они получили, воспользовавшись отсутствием контроля: владелец этой учетной записи умер за три месяца до атаки. Вторжение было обнаружено, когда в сети заработал шифровальщик Nefilim — за короткий срок он сумел поразить более сотни систем.

Вымогательская программа Nefilim, она же Nemty, попала в поле зрения ИБ-экспертов полтора года назад. Список ее жертв включает такие громкие имена, как Whirlpool и Orange. Операторы Nefilim обычно прибегают к двойному шантажу, угрожая публикацией украденных данных в случае неуплаты выкупа. С этой целью они создали специальный сайт — Corporate Leaks.

Новая жертва Nefilim не использует специализированную защиту от взлома  конечных устройств (Endpoint Detection and Response, EDR), но является клиентом Sophos. Столкнувшись с проблемой доступа к важным данным, организация призвала на помощь экспертов. Зловред был быстро найден и обезврежен.

Расследование показало, что точкой входа для авторов атаки послужил уязвимый экземпляр Citrix Storefront 7.15 CU3 — интерфейса, обеспечивающего удаленный доступ к приложениям и виртуальным десктопам в корпоративной сети или из внешнего источника.

В этом ПО был обнаружен целый букет незакрытых уязвимостей — CVE-2019-11634, CVE-2019-13608, CVE-2020-8269, CVE-2020-8270, CVE-2020-8283.

Эксплойт позволил злоумышленникам получить удаленный доступ к сети, который они закрепили, используя вход по RDP. Дальнейшее продвижение по сети им обеспечили Mimikatz и Cobalt Strike — инструменты для пентеста, позволяющие отыскать сохраненные пароли и получить представление об атакуемой инфраструктуре.

Вооружившись добытой информацией, непрошеные гости также добрались до заброшенного аккаунта администратора домена и целый месяц по ночам выкачивали данные, установив клиент файлообменника MEGA. После этого в ход был пущен шифровальщик Nefilim, которого внедрили в сеть жертвы с помощью системы интерфейсов Windows Management Instrumentation (WMI).

Заброшенные аккаунты, со слов экспертов, составляют большую угрозу для корпоративных сетей. Их статус надо обязательно контролировать, особенно когда речь идет об учетной записи администратора домена. В данном случае организация оставила аккаунт сотрудника активным, поскольку его используют некоторые сервисы.

В Sophos это сочли порочной практикой — с этой целью обычно создается учетная запись службы и вводится запрет на вход в диалоговом режиме. А число админ-аккаунтов в организации лучше сократить до минимума.

Снизить риски, по мнению экспертов, помогут следующие нехитрые правила:

  • выдавать разрешения на доступ только для выполнения конкретной задачи или ролевой миссии;
  • незамедлительно отключать аккаунт, если нужда в нем отпала;
  • ввести практику использования аккаунтов службы;
  • запретить вход в неконтролируемые аккаунты в диалоговом режиме;
  • регулярно проводить аудит Active Directory с целью мониторинга активности существующих админ-аккаунтов и выявления случаев внепланового добавления новых пользователей в группу админов домена.

Российские банки начали блокировать переводы турагентам на личные карты

В январе российские банки начали массово блокировать платежи турагентам на личные карты. Об этом сообщила Ассоциация туроператоров России (АТОР), связав происходящее с новыми требованиями Банка России по усилению контроля за переводами между физлицами — прежде всего через СБП.

С 1 января ЦБ ужесточил подход к таким операциям, рассматривая их как потенциальную часть мошеннических схем.

В результате под удар в первую очередь попали турагенты-фрилансеры и индивидуальные предприниматели, которые принимают оплату от клиентов на личные карты или счета, а не на расчётные счета бизнеса.

Риски возникают и для самих туристов. Подозрительным банк может счесть перевод крупной суммы частному агенту, а также ситуацию, когда клиент сначала переводит деньги между своими счетами, а уже потом оплачивает путёвку. В АТОР отмечают, что система особенно настороженно реагирует на операции пожилых клиентов.

По данным опроса, проведённого ассоциацией среди турагентов и туристов, суммы заблокированных переводов варьируются от 20–50 тыс. рублей до 300 тыс. и более. Чтобы снять ограничения, клиенту обычно нужно связаться с банком по телефону и подробно объяснить цель перевода. Иногда этого оказывается недостаточно — тогда просят лично прийти в отделение.

Масштабы происходящего заметно выросли. Как выяснил «Коммерсантъ», только за первые недели 2026 года банки временно заблокировали 2–3 млн карт и счетов физлиц в рамках борьбы с мошенничеством. Для сравнения: раньше в месяц блокировалось в среднем около 330 тыс. переводов.

В туристической отрасли опасаются, что такая практика может осложнить работу небольших агентств и фрилансеров, а для клиентов — превратить обычную покупку тура в нервный квест с звонками в банк и визитами в офис.

RSS: Новости на портале Anti-Malware.ru